亚美尼亚应美国引渡请求拘留俄罗斯游客，律师称抓错人
亚美尼亚自6月28日起在拘留中心关押一名名叫亚历山大·叶尔马科夫的俄罗斯游客，该请求是针对一名涉嫌与REvil勒索软件团伙有关、名为亚历山大·叶尔马科夫的美国引渡请求。其妻玛丽亚·尤罗娃称，机场边境官员在埃里温兹瓦尔特诺茨机场的出发大厅将其拦下，并带至侧室。律师称美方弄错了人。
年度归档： 2026 年
Read More
新 wp2shell WordPress 核心漏洞允许未认证攻击者执行代码
2026 年 7 月 18 日更新：两个漏洞现已分配 CVE 编号，完整利用机制已经公开，相关持续对象缓存的条件也被披露，且一个可运行的概念验证代码已公开发布。WordPress 核心中存在一处无需登录的 HTTP 请求即可执行代码的漏洞，影响所有 6.9 与 7.0 版本，直至官方发布 6.9.5 与 7.0.2 修复版本并启用自动强制更新。
AI 智能体的最小权限原则：身份、访问与工具绑定
随着 AI 智能体日益自主，强大的身份、访问与审计控制对其安全至关重要。本文探讨了在 AI 智能体场景中实施最小权限原则、托管身份、RBAC 以及工具访问控制的关键考量与最佳实践。
微软亮相 Black Hat USA 2026：在 AI 与供应链攻击时代捍卫信任
欢迎莅临 Black Hat USA 2026 微软安全展区，了解供应链研究、动手实操安全体验、专家对话以及我们的招待会。
军用自主化部署竞赛已开启，可信信息基础设施能否跟上？
军用部队正承受着前所未有的压力，需要更快地部署自主化能力。在美国、英国和北约，新的投资、不断演变的国防战略以及加速的采购路径正在改变能力交付方式。如今，焦点已转向让这些系统以任务速度协同运作所需的可信信息基础设施。
欧盟命令谷歌向竞品AI助手开放Android麦克风、摄像头和屏幕权限
欧盟委员会周四依据《数字市场法》作出两项具有约束力的规范决定，要求谷歌在下一个主要版本Android 18中（最迟于2027年8月1日前）向竞品AI助手开放与Gemini同等的功能权限，包括摄像头、麦克风、屏幕内容、熄屏唤醒词以及后台模拟点击和键盘输入以驱动其他应用的能力。
新型NadMesh僵尸网络猎捕暴露的AI服务以窃取云密钥与Kubernetes令牌
一个名为 NadMesh 的 Go 语言僵尸网络于7月初浮出水面，专门猎捕暴露的 AI 服务，其运营者自己的仪表板声称已获取 3,811 个唯一的 AWS 密钥。一个 Shodan 收集器源源不断地为扫描队列补充 ComfyUI、Ollama、n8n、Open WebUI、Langflow 和 Gradio 等目标：这些都是团队快速部署却迟迟不加防火墙的图像生成器、本地模型运行器和工作流构建工具。
ACR Stealer：威胁活动加剧期间观察到的两条入侵链
2026 年 4 月末至 6 月中旬，Microsoft Defender Experts 观察到 ACR Stealer 在客户环境中的活动显著增加。这些攻击活动正在成功利用 ClickFix 诱饵，从企业环境中窃取浏览器凭据、身份认证令牌以及敏感文档。成功入侵可能暴露浏览器凭据、会话令牌、认证构件以及敏感的企业数据，进而可能导致账户失陷、对云资源的未授权访问以及后续入侵活动。
OpenAI推出GPT-Red：通过自动化提示注入测试强化GPT-5.6 Sol
OpenAI披露了内部自动化红队模型GPT-Red的详细信息，该模型可规模化发现提示注入漏洞，旨在工具广泛部署前修复问题。AI公司表示：”GPT-Red是一个强大的红队模型，我们之前的模型非常容易受到其提示注入攻击。我们使用GPT-Red对GPT-5.6进行对抗性训练，使其对提示注入更加稳健。”
20 多个被劫持的政府网站沦为攻击通道
交互式恶意软件分析与威胁情报解决方案领先提供商 ANY.RUN 披露了一起活跃的 PhantomEnigma 活动，超过 20 个巴西政府网站被劫持并成为恶意软件投递通道。调查揭示了此前未被记录的后门行为、隐蔽的基础设施关联，以及这场威胁银行和公共机构的活动背后的多个攻击分支。